文/羅正漢
2026年10月23日
本週臺灣資安事件備受關注，雲端部署平臺Zeabur再度遭駭，後續已宣布年底停止營運，並公布初步事件調查結果；91APP資料庫遭非法存取事件持續延燒，陸續有合作品牌發布資安公告及防詐提醒，影響範圍逐漸浮現，同時有滿心、歐都納、立康、清淨海生技、科懋生物科技、柏文健康，還有美食-KY接連發布資安重訊。此外，思科揭露中國駭客UAT-11985針對臺灣研究機構發動攻擊，不僅冒用相關機構名義寄送釣魚信，還利用Google服務發動對手中間人（AiTM）網釣攻擊。
AI自主攻擊的威脅也正快速升高，從臺灣公部門遭多Agent架構攻擊，到日本、韓國企業遭AI自主滲透工具鎖定，顯示攻擊者正從運用AI輔助，轉向利用AI自主執行攻擊任務，甚至透過多個Agent平行作戰，大幅降低攻擊試錯成本。這也提醒臺灣企業，過去被容忍的資安債，如今可能在AI加速探查與利用下，迅速成為攻擊者可利用的破口。
在重大漏洞方面，PHP2Shell因提前公告修補時間、漏洞資訊外流，引發全球高度警戒，臺灣數位發展部也緊急盤點約2.8萬個使用PHP的對外網站，要求儘速修補、必要時暫停服務。零時差漏洞攻擊威脅依舊嚴峻，疑似中國駭客組織利用BeyondTrust Remote Support漏洞入侵企業內網，Ivanti Connect Secure也遭攻擊者串連多個零時差漏洞入侵。其他重要防禦發展方面，G7計畫舉行AI網路攻擊演練，檢驗金融業應變能力；微軟與Nvidia提出開放權重AI模型風險管理指引，歐洲網路安全組織提出太空資安六大重點，IETF發布TLS 1.3混合式PQC金鑰交換標準，GitHub也推出NPM套件防火牆，協助企業強化軟體供應鏈安全。
AI資安
AI自主攻擊正從概念走向實際威脅，繼臺灣公部門遭多Agent架構攻擊後，日本資安業者又確認攻擊者利用AI自主滲透測試工具ARTEX鎖定當地多家企業，南韓金融業先前也傳出相關攻擊，臺灣企業需要意識到，如今的攻擊型態已轉變為：攻擊者可同時派出多個AI Agent分頭行動，進行目標偵察、攻擊路徑分析，還能研究新的攻擊方法、自動修正錯誤判斷，並且持續動態調整攻擊策略。
AI網攻兵臨城下：從臺灣受駭事件看AI自主攻擊掀起的典範轉移
臺灣公部門7月初遭駭客以多Agent架構發動近自主式攻擊（near-autonomous）。資安業者Dream Security揭露此波攻擊基礎設施，標誌著AI自主網攻已成實際威脅。我們歸納出五大攻防典範轉移，提醒企業警惕此一轉變：（一）從使用AI輔助走向管理AI攻擊團隊；（二）從自動化走向自主化；（三）從一人多工走向多Agent平行作戰；（四）大量試錯成本降低，翻轉攻擊經濟學；（五）過去被容忍的資安債，一夕變成可利用的攻擊面。我們必須正視AI時代放大的攻防不對稱，AI自主網攻真正掀起的典範轉移，可能並不只是攻擊技術本身，而是整個攻防競爭的速度、規模與成本結構，都正在被重新定義。
資安署示警AI攻擊進入新階段，資安院：AI攻擊來襲，企業應先守住個資資料庫
近期日本、韓國及法國的重大事件顯示AI攻擊邁入新階段，數位部資安署今日（21日）示警，強調攻擊者已利用LLM、Agent與自動化滲透工具大幅拉升探查與攻擊效率。署長蔡福隆直言，資安攻防已出現「典範轉移」，AI雖未改寫底層原理，卻倍增速度、廣度與深度。臺灣企業必須留意，過去企業容忍的資安債，如今一夕淪為被自動化鎖定的攻擊面。
日本企業接連遭駭，GMO確認攻擊者使用AI滲透測試工具ARTEX
針對日本近期頻傳的企業遭駭與個資外洩事件，資安業者GMO Cybersecurity by Ierae公布最新調查，確認攻擊者利用名為ARTEX的AI自主滲透測試工具鎖定多家日本企業，並循線查到有6臺搭載AI技術的攻擊主機，各自針對日本不同產業發動攻擊。由於南韓金融業先前亦遭ARTEX鎖定，研究團隊正釐清此波行動是否僅針對日韓，或已波及其他國家。
AI發展與普及速度受制於安全性不足，SailPoint創辦人呼籲整個產業持續投入並付諸行動
AI入侵Hugging Face事件發生後，近期頂尖AI模型服務失控事件引發關注，SailPoint執行長暨創辦人Mark McClain表示，AI不會也不該停下發展的腳步，關鍵在於設法提升AI安全性。他以F1賽車為喻，指出煞車是否完善，是影響跑車能否發揮速度的關鍵，AI也是如此，安全性的健全將影響AI發展與普及速度。
微軟與Nvidia於10月16日共同發布開放權重AI模型風險管理指引，文件名稱為Risk Management for Open-Weight Models in Enterprise。這份指引將相關風險歸納為網路安全（Cybersecurity）、資料保護（Data Protection）、內容風險（Content）、人類與AI互動（Human-AI Interaction）及偏見（Bias）等5大類、30種類型，並提出風險評估、防護措施及持續監控等管理建議。
英國政府於10月12日宣布擴大運用頂尖AI模型強化資安防禦。在先前兩項試行計畫中，AI已協助找出並處理18個政府部門、548個程式碼儲存庫中的1,352項漏洞。英國AI事務部長Kanishka Narayan則在公開演說中指出，政府中央漏洞監控服務已將發現弱點後的修復時間從50天縮短至8天。接下來，英國將擴大運用AI強化政府系統的資安防禦，優先處理高風險系統中的安全弱點。
AWS測試AI代理自主尋找及利用漏洞，37項CVE有33項成功
雲端服務業者AWS公布旗下自主滲透測試AI代理AWS Security Agent的測試結果。研究人員使用2025至2026年間揭露的37項CVE漏洞進行測試，AI代理成功利用其中33項漏洞，並取得用來驗證漏洞利用結果的測試標記（Flag），成功率達89.2%。這項測試使用Claude Opus 5模型，每項漏洞的測試時間上限為10小時。不過，另有2項測試因AI代理後續操作造成系統停止運作，顯示自主滲透測試也可能帶來服務中斷風險。
研究人員借助AI力量找出存在超過10年的資安漏洞PHP2Shell
通報PHP2Shell漏洞的Google Cloud旗下資安團隊Wiz，於修補程式正式發布當天揭露研究細節，指出相關問題可追溯至2012年推出的PHP 5.4版。研究團隊運用自家Wiz Atlas，以及Gemini 4 Argon、GPT-5.6 Sol等AI工具與模型，於8月下旬找出這兩項漏洞。Wiz指出，AI大幅降低複雜漏洞的攻擊驗證門檻，讓存在十多年的軟體缺陷得以發展成實際可行的攻擊手法。
多個組織的MCP專案存在SSRF漏洞，研究人員示警AI代理信任問題
獨立資安研究人員公布一項MCP安全研究成果，發現Google、摩根大通等多個組織的MCP專案存在類似的伺服器端請求偽造（SSRF）漏洞，包括Google資料庫存取工具MCP Toolbox for Databases的高風險漏洞CVE-2026-14540，可被攻擊者誘使存取內部受限系統。研究人員將此手法稱為Protocol Pivoting，攻擊者在外部內容植入惡意指令，當AI代理轉交工作給其他代理時，指令便隨之傳遞；若接手代理未確認授權，即可能依照惡意指令，執行未獲授權的越權操作。
AI程式碼代理平臺OpenCode資料外洩，尋求OpenAI、Anthropic、Google合作處理
10月16日晚間開源AI程式碼代理工具OpenCode發生資安事故，攻擊者發動大規模蒸餾攻擊，可能取得部分使用者儲存在OpenCode Console工作區中的第三方AI服務API金鑰，影響約1.4%的Console使用者。事件曝光後，已有使用者表示帳戶出現非本人發起的API請求與異常費用，部分個案金額達數百美元，甚至有使用者回報1,700美元的損失。
■AI代理安全新創Pluto Security獲4,200萬美元投資
應用程式安全
PHP重大漏洞PHP2Shell因罕見提前公告修補時間而備受關注，隨後更傳出漏洞資訊外流，引發全球高度警戒。儘管PHP已發布安全更新，但停止支援的舊版仍面臨修補難題。面對重大攻擊風險，日本首相親自示警，多國政府網站及網路服務也預防性暫停部分功能。此外，Node.js與Go同步發布安全更新，資安署呼籲儘速修補；本週另傳出4起軟體供應鏈攻擊事件，也成為值得關注的資安議題。
PHP預告發布緊急安全更新，多家資安公司警告PHP零時差漏洞風暴即將來襲【PHP2Shell】【CVE-2026-109618、CVE-2026-109619】
10月20日PHP開發團隊預告將於世界協調時間21日14時（臺灣時間晚間22時）發布重要安全性更新，修補兩個CVSS v4.0嚴重程度達到9.2分的重大漏洞，呼籲所有用戶提前準備，以便更新一推出就立即套用，然而，後續又傳出漏洞相關資訊已提前外流的消息，例如資安社群與廠商都紛紛警告此事，於是，引發全球熱烈關注。10月21日PHP正式發布8.5.12、8.4.27、8.3.36版本，強烈呼籲所有用戶要立即套用更新。美國CISA也已將這兩漏洞加入KEV名單。
數發部：PHP重大漏洞影響約2.8萬個國內網站，約200個政府機關網站受影響，要求優先修補、必要時暫停服務【PHP2Shell】【CVE-2026-109618、CVE-2026-109619】
PHP重大漏洞風險成為多國政府關注焦點，不只日本首相高市早苗也透過社群平臺呼籲因應，我國資安署10月22日也表示，已在收到PHP官方修補程式通知後立即啟動應變機制，要求政府與企業優先更新版本，若無法立即修補，應採取網站應用程式防火牆（WAF）等緩解措施，必要時暫停網站服務，避免漏洞遭駭客利用。
Amazon證實重大漏洞PHP2Shell在揭露前已遭駭客利用
10月21日Amazon威脅情報團隊表示，早在10月17日他們即在蜜罐陷阱偵測到PHP2Shell漏洞利用活動，攻擊者透過商用的匿名化網路及匿名IP位址來進行，代表這起活動是駭客所為，而非一般的研究人員進行測試或驗證。上述活動發生在PHP開發團隊公開漏洞的4天前，究竟攻擊者如何掌握PHP2Shell的資料，Amazon表示不清楚。
資安署針對PHP、Node.js、Go緊急更新提出警告，呼籲用戶儘速採取行動
10月21日PHP、Node.js、Go語言開發團隊發布更新，修補一系列漏洞，10月22日數位發展部資通安全署發布兩則警訊，呼籲採用PHP、Node.js、Go語言的政府機關、學校，以及企業，儘速確認版本與更新，資安署掌握相關情資後，已透過資安警訊、國家資安資訊分享與分析中心（N-ISAC），以及TWCERT/CC等管道，通知各機關及企業儘速行動。
Node.js修補4項高風險漏洞，Brotli解壓縮錯誤恐讓駭客遠端執行程式碼【Node2Shell】
Node.js專案10月21日發布安全更新，修補10項漏洞，4項列為高風險，影響22.x、24.x及26.x版本。Brotli解壓縮漏洞可能造成記憶體損壞，嚴重時恐讓攻擊者遠端執行程式碼；另有TLS憑證驗證錯誤、DNS解析名稱截斷等問題。官方已釋出修補版本，建議使用者儘速更新。特別一提的是，其中修補的CVE-2026-111497（Node2Shell）最要留意。
西門子軟體管理平臺漏洞遭利用，攻擊者試圖用於ClickFix網釣活動【CVE-2026-110936】
德國工業科技公司西門子發布警示，呼籲各界注意其軟體管理平臺Siemens Software Center漏洞CVE-2026-110936已遭攻擊者實際利用，相關活動與Romulus多平臺ClickFix網釣有關，攻擊者利用存在弱點的3.5.8.7版載入惡意檔案，透過安裝套件AllMyBasic.msi及archive.dll等檔案執行攻擊。美國CISA也已將此漏洞加入KEV名單。
影音串流平臺Plex被鎖定，攻擊者利用漏洞攻擊鏈Plex2Shell植入挖礦軟體與後門【Plex2Shell】【CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656】
借助大型語言模型的力量，研究人員Zach Main（Zmain）發現影音串流伺服器Plex Media Server存在一系列漏洞利用鏈，並將其命名為Plex2Shell，該利用鏈涵蓋4個漏洞，相關資訊與概念驗證程式碼（PoC）於10月16日公布，隔天研究人員發現這些弱點被用於實際攻擊，在蜜罐陷阱偵測到Plex2Shell利用活動。美國CISA也已將此漏洞加入KEV名單。
雲端版辦公室軟體Collabora Online漏洞遭到利用，攻擊者試圖入侵Nextcloud伺服器【CVE-2026-110447】
10月14日重大漏洞CVE-2026-110447浮上檯面，此弱點存在雲端服務業者Nextcloud的應用程式Collabora Online Built-in CODE Server，CVSS v4.0評分為9.2。值得留意的是，9月至10月出現實際利用該漏洞的活動，Collabora已發布26.4.303版應用程式予以修補。
WordPress熱門SEO外掛Rank Math PRO遭遇供應鏈攻擊，網站恐被植入後門
熱門WordPress搜尋引擎最佳化（SEO）外掛Rank Math PRO近日發生供應鏈攻擊，3.0.123版被植入惡意軟體，一旦用戶在網站安裝並啟用，攻擊者便可能入侵網站並建立隱藏後門。Rank Math已移除受影響檔案，並發布新版3.0.124，呼籲用戶立即檢查網站是否遭到入侵。
LiteLLM工程師GitHub憑證遭竊，官方發布流程成惡意程式散布管道
開源AI模型串接工具LiteLLM再遭供應鏈攻擊，官方指出駭客竊取工程師GitHub憑證，修改發布流程，使1.107.0版夾帶竊密程式與遠端執行後門，經PyPI及Docker散布。惡意版在PyPI上架近2小時才下架，Docker映像檔更晚移除。受影響者應重建環境並更換金鑰與憑證。
AOMEI備份軟體遭供應鏈攻擊，駭客短暫劫持更新機制散布後門
Google威脅情報團隊（GTIG）與Mandiant近日揭露一起針對AOMEI Technology軟體更新基礎設施的供應鏈攻擊。攻擊者在2026年4月至7月間，透過備份軟體AOMEI Backupper的更新機制投遞惡意程式。AOMEI表示已採取措施強化更新伺服器的安全防護，但伺服器端安全性的改善，並不代表先前遭植入後門的電腦已恢復安全，企業應清查是否部署AOMEI Backupper，並檢查相關電腦是否有可疑程式、異常排程工作或網路連線。
雲端服務平臺OVHcloud CLI工具遭供應鏈攻擊，被植入竊資程式
OVHcloud雲端服務平臺的命令列工具（CLI）軟體遭供應鏈攻擊，10月19日發布的v0.11.0至v0.15.0共5個版本被植入竊資程式。攻擊者利用遭入侵的開發者GitHub帳號置換發布檔案，企圖竊取電腦中儲存的密碼、API金鑰及其他敏感資料。OVHcloud已移除惡意版本並發布安全的v0.16.0，提醒曾下載或執行受影響版本的用戶更新工具，並更換相關憑證。
Arch Linux軟體市集出現惡意套件，攻擊者藉此散布惡意程式以取得root權限
10月13日Arch Linux社群套件庫AUR再傳惡意套件攻擊，攻擊者以拼字相近的名稱偽冒熱門AUR輔助工具yay與paru，將包含惡意安裝腳本的套件上傳至AUR。使用者若誤將其安裝到系統，攻擊者可在該系統執行具root權限的遠端Shell指令，進而取得系統的高權限控制能力。
AWS示範整合雲端服務，將ML-DSA抗量子簽章導入軟體供應鏈
雲端服務業者AWS示範將ML-DSA導入軟體供應鏈，整合AWS KMS、AWS Private CA及IAM Roles Anywhere等服務，在軟體建置與部署流程中使用抗量子數位簽章。簽章私密金鑰由硬體安全模組（HSM）保護，無須交由建置系統保管，並透過容器部署的准入控制機制，阻擋未通過ML-DSA簽章驗證的容器映像檔。
為防範惡意NPM套件在安裝階段竊取開發環境憑證，GitHub推出NPM套件防火牆（Package Firewall）公開預覽版。企業將套件下載導向防火牆後，可依政策封鎖已知惡意套件及漏洞版本，檢查新版是否失去原有SLSA來源證明或新增安裝指令碼，也能設定版本冷卻期。
上週Adobe揭露Adobe Commerce與Magento存在嚴重度滿分的漏洞CVE-2026-103849，資安公司Sansec將此弱點稱為BlockStrap，並警告其很危險，原因是Sansec一天內找出4種利用該漏洞遠端執行任意程式碼的路徑，雖然攻擊路徑相當複雜，但可借助AI對修補程式進行逆向工程，然後將漏洞用於實際攻擊。
■curl修補HTTP/2高風險漏洞CVE-2026-92392，可導致遠端程式碼執行
■AI漏洞通報湧入，curl改在GitHub公開處理中低風險漏洞
資料安全
國內兩起重大資安事故備受關注，一是雲端部署平臺Zeabur再度遭駭，創辦人坦言，系統因應市場需求調整架構，增加複雜度與維護難度，最終決定年底停止營運，突顯新創企業快速發展下，面臨資安維護與永續經營的雙重挑戰；另一方面，91APP資料庫遭非法存取事件持續延燒，政府亦關注這類服務眾多企業的第三方平臺安全議題，如何降低事件對企業客戶及消費者的影響，仍是重要課題。
Zeabur再遭駭宣布年底停運，逾321萬筆環境變數遭讀取、8月憑證未完成輪替
臺灣雲端部署平臺Zeabur於10月中旬再傳資安事件，影響範圍比8月底的事故更大。該公司創辦人林沅霖於10月17日說明事故情況，表示已針對所有已知的攻擊路徑採取控制措施，同時宣布平臺將於年底停止營運。10月19日，Zeabur公布初步調查結果，揭露攻擊者於10月14日循兩條路徑入侵，一條涉及共享叢集與AWS，另一條則涉及GCP專用伺服器，最終取得平臺資料庫的存取權限。調查發現，8月前次事故後仍有部分憑證未完成輪替，先前已發現的安全缺失也未及時修正。
91APP資安事件持續延燒，多家合作品牌示警，消費者接獲疑似詐騙郵件
電商技術服務商91APP（6741）日前發布資安重訊，揭露自家Commerce Cloud資料庫遭到網路攻擊，值得關注的是，後續已有數十家使用91APP服務的品牌業者紛紛發布資安事件公告及防詐提醒，其中包括上市櫃合作品牌發布資安重訊，還有摩曼頓、尖端媒體集團等許多業者發布公告，同時也有消費者反映收到冒用商家名義、涉及真實訂單資訊的可疑郵件，這起事件的影響範圍逐漸浮現，也突顯第三方服務商遭到網路攻擊所帶來的供應鏈資安風險。對此事件，數位發展部數位產業署表示，已啟動行政檢查，釐清個資影響範圍。
服飾公司滿心接獲消費者反映個資疑似外洩，矛頭指向委外平臺資料庫遭自動化攻擊
10月19日服飾公司滿心（2916）近期接獲消費者反映個資疑似外洩，由於委外服務平臺廠商提供的資料庫遭遇自動化攻擊，導致部分資訊遭非法擷取，事發後滿心要求該委外服務平臺廠商釐清相關資料是否涉及此次資安事件，以及實際受影響的資料範圍。雖然滿心未在重訊內容提及委外服務平臺廠商的身分，但根據該公司網站的反詐騙警示訊息，事故與他們使用的91APP電商系統有關。
戶外用品業者歐都納接獲消費者反映疑似個資外洩，重訊指出委外平臺業者資料庫遭自動化攻擊
主打戶外休閒用品的興櫃公司歐都納（2940）於10月22日發布資安重訊，指出委外服務平臺業者的資料庫遭到自動化攻擊，部分資訊遭非法擷取，並說明公司當日接獲消費者反映疑似個資外洩，目前已啟動資安事件應變機制，並與委外業者共同調查事件原因及影響範圍。
科懋生技商城會員個資遭擷取，指出是委外服務商系統遭自動化攻擊
上櫃生技醫療公司科懋（6496）於10月22日發布資安事件重大訊息，指出接獲線上會員反映個資外洩，調查後發現公司產品線上銷售平臺的系統服務委外廠商，其對外服務系統遭到自動化攻擊，線上訂單資料庫遭到擷取，其中部分涉及科懋商城線上會員的個人資料。
清淨海生技接獲消費者反映疑似個資外洩，將與委外廠商共同釐清事件影響
主打環保洗劑產品的興櫃公司清淨海（7516）發布資安事件重訊，說明接獲消費者反映疑似個資外洩，疑似有第三方人士從委外廠商管理的平臺不當取得資料，並透過電子郵件聯繫消費者。清淨海獲悉後立即啟動資安事件應變機制，要求官網平臺委外廠商進行相關調查、檢視及必要的修補改善，並表示將持續與委外廠商共同釐清事件原因及影響範圍。
立康接獲消費者反映疑似個資外洩，委外購物平臺遭第三方不當存取
生技醫療公司立康（6242）於10月21日上午9時在股市公開資訊觀測站發布重大訊息，原因是該公司於20日接獲消費者反映，疑似有第三方人士從委外廠商管理的購物平臺不當取得資料，並透過電子郵件聯繫消費者。該公司獲悉後立即啟動資安事件應變機制，針對相關系統、存取紀錄及可能涉及的資料範圍進行調查，並要求購物平臺委外廠商同步進行資安檢視與必要的強化措施。
美食達人部分資訊系統遭駭客攻擊，美食-KY代子公司發布資安重訊
以連鎖咖啡烘焙品牌85度C聞名的美食-KY（2723），於10月21日發布資安重訊，指出旗下臺灣子公司美食達人的部分資訊系統遭到駭客網路攻擊，已啟動資安事件應變機制，並委請資安專業人員協助調查及修復。
漢堡王在10月13日發現管理App會員資訊的系統遭到未授權存取，目前已知外洩資料包含約1,118萬筆App會員資訊，這是日本企業最新一次大規模資料外洩案。該公司在發現時已立即切斷連線。初步判斷，攻擊者是在10月2日到10月7日存取系統並竊走資訊。該公司偕同外部資安廠商調查攻擊者如何成功駭入系統，向個資保護主管機關通報，並設立對策委員會。
日本阪急阪神百貨10月19日指出，阪急百貨店、阪神百貨店預約網站、HANKYU HANSHIN E STORES以及Remo Order服務系統遭第三方行動者存取，導致126萬筆個資外洩。日本經濟新聞10月16日公告資料外洩，該公司用於系統開發的雲端服務遭第三方存取，此事可能出於存取雲端服務的憑證資訊遭到竊取，初步判定有約183萬筆個資外洩。
韓國藥品監管網站存取管制不足，透過ChatGPT可下載2000多筆臨床試驗資料，並外洩上千人個資
上週韓國食品藥物安全部轄下機構被發現非公開臨床試驗資料可透過ChatGPT下載，為此道歉並著手調查。事件出於韓國一名議員辦公室在10月中韓國國政監察前夕，測試使用ChatGPT檢索藥品安全入口網站的相關資料，這個漏洞讓ChatGPT順利查詢到製藥廠商送交韓國官方申請許可的非公開臨床試驗資料2,672份，此外還外洩1,195人的個資。
Bullhorn人力招募系統遭網攻一度停機，要求客戶重設API密碼
美國人力招募軟體商Bullhorn於10月17日遭網路攻擊，該公司旗下用來管理職缺、求職者資料及企業客戶的Bullhorn ATS/CRM系統受資安事件影響，為遏止可疑活動，一度暫停該系統的服務，並要求部分用戶重設登入密碼，API專用帳號密碼也已失效。
英國司法部轄下的法律援助署（LAA）去年4月23日偵測到線上數位服務的網路攻擊事件，5月LAA發現攻擊範圍超出一開始認定，並認為可能有大量個人資料外洩，該機構本週公布外洩資料規模和資料類型，大部分外洩的資料是2007年1月到2025年5月16日向LAA提出申請、索賠或付款人士，或是案件落在這段時間的人士資訊，但也涵蓋最久遠為近50年前的紀錄。
上週自稱ShinyHunters的人宣稱取得H&M存貨記錄、邏輯資料、業務分析及管理分店及訂單交貨的基礎架構，並展示部分資料，H&M正在調查，目前未發現其資料環境遭到破壞的跡象。南非公司The Foschini Group也公告旗下英國子公司TFG London於10月11日發生網路攻擊事件，影響其部分IT系統，第一時間已採取回應行動防止災害擴大。
■Proofpoint以63億美元併購Varonis，擴大資料與AI安全業務
資安維運
中國駭客UAT-11985利用Google服務從事AiTM網釣，鎖定臺灣研究機構
思科威脅情報團隊Talos揭露，中國駭客UAT-11985冒用臺灣歐盟中心、政治大學國際關係研究中心及臺灣智庫等機構名義，寄送活動邀請釣魚信，鎖定臺灣研究機構。攻擊者不僅竄改活動海報上的QR Code，還利用仿冒Google登入頁面的對手中間人（AiTM）網釣工具，竊取帳號密碼及驗證資料。由於釣魚信具有高度相似的結構與措辭，且能快速替換活動主題與收件者資訊，Talos研判攻擊者可能利用AI輔助生成網釣內容。
俄羅斯APT28入侵北約成員國造船企業，竊取認證資料並建立內網通道
俄羅斯駭客組織APT28攻擊兩個北約成員國的海軍造船企業、軍用飛機引擎製造商及執法機關，資安業者Symantec指出，其中，受害的造船企業員工遭網釣，開啟包含惡意巨集的Word文件，導致電腦遭植入HookEdge後門。攻擊者取得帳號認證資料，並利用Windows內建工具，讓受害電腦主動連向外部伺服器，建立SSH反向通道，以便從外部存取企業內網。其他受害單位也同樣出現HookEdge相關活動。
微軟與醫療產業資安資訊分享與分析中心Health-ISAC合作，依據美國聯邦法院命令，接管並重新導向地下犯罪服務YAM Store、CoGUI及Iron Man使用的部分惡意網域。微軟統計，今年1月以來，犯罪者利用這些服務發送超過10億則網釣電子郵件及簡訊，鎖定全球150多國的消費者及逾7.5萬個組織，其中超過7.5億則訊息針對微軟客戶。這項調查始於2025年底日本警察廳提供的網釣情資，後續發現YAM Store向犯罪者販售遭入侵或以詐騙方式取得的雲端資源。微軟已停用逾2萬個相關帳號，並封鎖超過10萬個詐騙網域。
ClickFix攻擊出現支援多種管道的惡意酬載傳遞管理平臺Romulus
資安公司Forescout揭露專門用於ClickFix網釣活動，被用於散布多種惡意程式的平臺Romulus。攻擊者利用Romulus管理不同惡意軟體的傳遞管道，一共找到6個登入介面的IP位址。根據該公司的調查，Romulus並非針對單一攻擊的惡意軟體伺服器，而是可以根據權杖（Token）提供不同指令碼或安裝程式的後端平臺。
CISA將Plex、SiteGuard、西門子產品共6個漏洞列入KEV【CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656、CVE-2026-106931、CVE-2026-110936】
10月20日美國網路安全暨基礎設施安全局（CISA）已遭利用漏洞名單（KEV）新增6項，影響的產品包括影音串流伺服器Plex Media Server、網頁應用程式防火牆EG Secure Solutions SiteGuard Server Edition，以及西門子軟體管理平臺Siemens Software Center，聯邦機構最快需在10月23日修補3個漏洞。
BeyondTrust、Fortinet漏洞遭積極利用【CVE-2025-61624、CVE-2026-102764】
美國網路安全與基礎設施安全局（CISA）維護的已遭利用漏洞名單（KEV），10月16日增列兩個新漏洞，分別是：Fortinet應用系統路徑遍歷漏洞CVE-2025-61624，以及BeyondTrust Remote Support身分驗證繞過漏洞CVE-2026-102764，聯邦機構必須在10月19日前完成修補。
■CISA呼籲儘速修補PHP2Shell 【PHP2Shell】【CVE-2026-109618、CVE-2026-109619】
■趨勢科技宣布提供最高100億日圓資安服務，協助日本企業強化網路韌性
■Sucuri揭露可自我重建的WordPress惡意程式SC，移除後數秒便會重現
網路安全
SiteGuard WAF命令注入漏洞遭利用，駭客可取得伺服器最高權限【CVE-2026-106931】
日本資安廠商EG Secure Solutions旗下SiteGuard Server Edition網頁應用程式防火牆（WAF）遭揭露命令注入漏洞CVE-2026-106931，且已遭駭客利用。漏洞存在於預設啟用的統計功能，攻擊者可藉此在受影響伺服器上以root或SYSTEM權限執行任意系統命令。原廠已發布修補版本及部分舊版專用修補程式，並提醒管理者先保存診斷資訊再更新，以免攻擊痕跡遭清除。美國CISA也已將此漏洞加入KEV名單。
駭客組織UNC5820鎖定電信公司，利用Fortinet資安漏洞散布惡意軟體PeerStitch【CVE-2025-61624】
上週末資安公司Palo Alto Networks揭露並長期追蹤的攻擊，駭客組織UNC5820起初入侵Fortinet網路設備管理平臺FortiManager，竊取超過500臺防火牆的組態、管理資料庫、網路拓樸、管理者與SSL VPN憑證；後續UNC5820利用防火牆作業系統FortiOS漏洞CVE-2025-61624，部署惡意軟體PeerStitch。美國CISA也已將此漏洞加入KEV名單。
駭客組織UTA0576串連3個零時差漏洞入侵Ivanti Connect Secure
已遭利用的Ivanti Connect Secure（ICS）漏洞CVE-2026-104935之所以能在10月中旬揭露，資安公司Volexity的調查功不可沒，他們發現駭客組織UTA0576使用一系列ICS零時差漏洞利用鏈從事攻擊，其中的身分驗證繞過、遠端程式碼執行（RCE）弱點，就是Ivanti揭露的CVE-2026-104935。
Citrix NetScaler漏洞遭到串連，攻擊者以此滲透企業內部網路環境
10月初資安公司Rapid7調查Citrix NetScaler ADC遭入侵的事故，發現駭客串連利用能造成事件記錄中毒的遠端程式碼執行（RCE）漏洞CVE-2026-88771，以及可導致SAML服務當機的CVE-2026-88779，成功入侵NetScaler ADC設備，並以root權限執行程式碼，部署多種後門與持續性存取機制。
IETF發布RFC 10024，訂定TLS 1.3混合式PQC金鑰交換標準
網際網路工程任務小組（IETF）今年8月發布RFC 10024，正式為TLS 1.3訂定3種結合傳統金鑰交換技術與後量子密碼學（PQC）演算法的混合式金鑰建立機制。混合式金鑰交換讓TLS連線同時採用傳統與抗量子密碼演算法，而不是直接以後者取代前者。RFC 10024將橢圓曲線ECDHE與ML-KEM結合，用於建立TLS連線金鑰，即使其中一種演算法不再安全，只要另一種仍安全，便可維持混合式金鑰交換的安全性。
平臺信任與流量防護再進化，Cloudflare建立爬蟲信任評等機制，觀察已驗證機器人是否遵守robots.txt規則、收到HTTP 429後是否配合降速，依長期行為建立信任評等。該機制已於Cloudflare內部使用，未來將公開於Cloudflare Radar，讓客戶依信任門檻自行管理爬蟲流量，強化平臺信任與流量防護。
Google Cloud倫敦區域服務中斷近8小時，波及英國銀行與公共服務
Google Cloud倫敦區域（europe-west2）10月20日發生電力事件，造成38項雲端產品服務異常，歷時7小時52分鐘，運算、儲存、資料庫及網路等服務出現錯誤率升高與間歇性連線故障，包括Revolut、HSBC等銀行服務，英國國民保健署（NHS England）及皇家郵政（Royal Mail）都受到影響。Google表示，工程團隊已恢復該服務區的完整服務可用性，後續將公布事件分析報告。
政策法規
歐洲網路安全組織（ECSO）提出太空資安六大優先工作，涵蓋安全設計、PQC、地面系統防護、持續安全測試、供應鏈治理及威脅情報共享。由於衛星服役時間長，發射後難以維修或更換硬體，ECSO建議在設計階段納入資安測試，並建立安全的軟體更新機制。地面系統應強化身分與存取管理、網路區隔及零信任架構，降低未授權存取風險。ECSO也呼籲歐盟投入資安研發、建立共用測試環境，並透過太空資訊分享與分析中心促進業界交流，提升太空基礎設施韌性。
AI技術快速發展，也讓金融業面臨新的網路攻擊風險。七大工業國集團（G7）計畫舉行桌上演練，模擬金融體系遭到AI輔助的網路攻擊，檢驗各國財政部門與中央銀行的應變能力。根據路透社報導，日本財務大臣片山皋月（Satsuki Katayama）表示，這項計畫已獲G7部長層級同意。日本財務省官員指出，G7將藉此檢驗現有應變程序，並根據結果修訂應變手冊，民間金融機構也可能視模擬情境參與。
澳洲通訊局新版資安框架重視各領域防護成效，取代單一成熟度評級
澳洲通訊局（ASD）推出新版資安框架ASD Essentials，逐步取代沿用近10年的Essential Eight。新版不再以單一成熟度等級評估組織整體資安狀態，而是依不同技術環境與安全領域，分別衡量防護措施的實際成效，協助組織依風險安排改善優先順序。新版涵蓋企業IT、營運技術（OT）及雲端環境，並納入AI安全與董事會、高階主管的資安治理指引。針對AI，組織須盤點模型、資料、基礎設施及代理程式權限，防範提示詞注入與敏感資料外洩。過渡期間，ASD仍會維護舊版框架，相關法規調整時程尚待確認。
身分安全
Google揭露中國相關駭客利用BeyondTrust零時差漏洞入侵企業內網【CVE-2026-102764】
Google威脅情報團隊（GTIG）與Mandiant於10月16日揭露，疑似與中國有關的駭客組織ARMORY CASTLE，自8月底起利用BeyondTrust Remote Support零時差漏洞CVE-2026-102764（CVSS 9.3）入侵企業遠端支援設備，植入SAWFLY網頁後門、取得root權限，並進一步存取企業內部系統。BeyondTrust已完成SaaS平臺修補，自行託管客戶則須確認更新狀態。CISA呼籲BeyondTrust用戶儘速套用修補程式BT26-05-RS，並管制管理介面的存取，只允許受信任的網路環境使用，並已將之列入KEV清單。
162個M365租戶遭未授權存取，ConnectWise備份API憑證遭濫用
資安業者Huntress於10月16日揭露，ConnectWise Cloud Backup應用程式憑證遭濫用，攻擊者藉此未經授權登入162個Microsoft 365租戶。研究人員指出，攻擊者利用ConnectWise備份API憑證取得Microsoft Graph存取權杖，由於該應用程式已獲用戶授權，攻擊者可繼承既有權限，存取郵件、檔案及目錄資料。ConnectWise表示已撤銷受影響憑證，暫停Cloud Backup等相關服務，並委託第三方專家調查。
微軟10月Windows更新強化NTLMv1限制，企業Wi-Fi與VPN登入恐受影響
微軟10月Windows安全更新進一步限制NTLMv1衍生憑證用於單一登入（SSO），將原本允許產生憑證並記錄警告的預設設定，改為直接封鎖。這項變更影響Windows 11 24H2、25H2、26H2及Windows Server 2025，若企業仍使用MS-CHAPv2進行Wi-Fi、有線網路或VPN驗證，部分單一登入流程可能失敗，尤其是未啟用Credential Guard且未明確設定相關登錄值的裝置。微軟建議企業檢視現有驗證設定，逐步移除對MS-CHAPv2的依賴，改採憑證式驗證，以配合逐步淘汰NTLM的方向。
端點安全
OpenBSD修補源自37年前的記憶體漏洞，研究人員已公開取得root權限的攻擊程式
開源Unix作業系統OpenBSD修補一個可追溯至1988年BSD程式碼，潛藏長達37年的記憶體漏洞。資安業者Calif研究員串連整數溢位與釋放後使用兩項核心缺陷，在OpenBSD 7.9成功示範取得root最高權限，並公開概念驗證程式碼，但這項攻擊須先具備在目標系統執行程式的權限，並非可直接從網路遠端入侵。OpenBSD已於9月發布修補，目前尚無證據顯示漏洞遭實際攻擊利用。
Linux核心PwnEscape漏洞可突破虛擬機隔離，導致主機記憶體洩漏
Linux核心被揭露重大漏洞PwnEscape，通報的資安研究團隊pwn.ai指出，該漏洞源自網路封包檢查碼處理缺陷，攻擊者可透過虛擬機器送出特製封包讀取主機記憶體。研究人員已在Vercel Sandbox正式環境成功讀取主機記憶體資料，並在自建測試環境進一步取得主機最高管理權限。此漏洞CVE編號為CVE-2026-99999，修補程式已經釋出，Linux核心維護團隊建議管理員儘速更新至最新穩定版本，降低虛擬化環境遭突破隔離的風險。
以色列廣告業者利用定向廣告發動零點擊攻擊，半島電視臺裝置遭間諜軟體入侵
半島電視臺在一年多前發生至少45臺裝置成為Candiru間諜軟體零點擊攻擊的目標，加拿大Citizen Lab近日揭露，以色列廣告業者Discover-Tech濫用線上廣告平臺，協助攻擊者精準鎖定目標。其手法是由後端伺服器決定是否提供漏洞利用程式碼，而非直接嵌入廣告，以避開平臺自動掃描。這也是首次有公開技術證據證實，精準廣告被用於零點擊間諜軟體攻擊，並造成實際感染。
Microchip為NVMe SSD控制器導入後量子密碼學支援
晶片製造商Microchip擴充資料中心產品線，為旗下Flashtec PCIe Gen 5 NVMe 5016 SSD控制器新增商用國家安全演算法套件CNSA 2.0支援，協助儲存設備因應後量子密碼學（PQC）需求，降低未來量子運算威脅傳統密碼機制的風險。Microchip同時也發表提供強化硬體信任根、安全啟動等功能的Switchtec PCIe 6.0交換器，並為Adaptec SmartRAID 4300系列NVMe RAID儲存加速器新增自我加密硬碟，以及金鑰管理等功能。
■Google發布Chrome 155更新，修補重大等級的記憶體釋放後使用漏洞
■Chrome 156修補353個漏洞，Firefox也推出安全性更新158.0.1
IoT/OT安全
Broadcom Wi-Fi晶片存在未修補的WPSplinter漏洞，攻擊者無須密碼即可取得路由器root權限
資安研究人員Quentin Kaiser於10月16日揭露Broadcom Wi-Fi晶片的WPS連線機制存在未修補漏洞，命名為WPSplinter，可能讓攻擊者在無線訊號範圍內，傳送特製訊息觸發記憶體破壞，無須Wi-Fi密碼即可取得設備root權限。研究人員已在比利時多家電信業者提供的家用閘道器驗證攻擊，目前受測設備仍未獲得修補，該漏洞也尚未獲指派CVE編號。
Broadcom Wi-Fi晶片WPSplinter漏洞波及多家臺灣網通廠商產品
近日Broadcom Wi-Fi晶片被揭露存在WPSplinter漏洞，研究人員列出受影響的18家廠商旗下50多款產品，包括在臺灣有銷售業務的合勤科技（Zyxel）、Netgear與Cisco等廠商，其中合勤表示正聯繫Broadcom確認兩款可能受影響產品的解決方案，並調查其他型號；Netgear表示受影響兩款產品皆已停產多年且未引進臺灣，Cisco則尚待原廠確認。
海康威視5年前漏洞再成目標，密集攻擊時間與俄軍空襲烏克蘭重疊
烏克蘭境內海康威視監控設備遭鎖定，資安業者GreyNoise發現，9月23日至10月1日，針對2021年已知漏洞CVE-2021-36260的利用嘗試突然增加，9天內觀測到的相關請求幾乎都來自4個IP位址。此事不僅突顯IoT設備未修補的風險，再加上這波活動與俄軍對烏克蘭空襲加劇的時間重疊，而過去烏克蘭曾查獲俄羅斯情報機構入侵監視器蒐集防空情報，因此再次引發監控設備可能遭用於軍事偵察的疑慮。